Zalane przez wpad.dat

Tak więc mój serwer Apache działał powoli i zajrzałem do plików dziennika. Okazało się, że urosły one do 12 GB dostępu z ton i ton różnych hostów próbujących uzyskać dostęp do /wpad.dat na jednym z moich Vhostów.

Wirtualny host, o którym mowa, to vhost typu „catch-all”, który jest wywoływany, gdy przeglądarka nie podaje znanej nazwy hosta.

Obecnie otrzymuję tysiące próśb na minutę do „/wpad.dat” i, o ile Google może mi powiedzieć, jest to coś, co ma coś wspólnego z serwerami proxy? Ale nie używam serwerów proxy, więc dlaczego dosłownie bombardują mnie te żądania.

Otrzymuję więcej żądań na minutę dla tego nieistniejącego pliku niż normalne żądania. Więc zakładam, że jestem pod jakąś formą ataku. Zabawne jest to, że na ogół dzieje się to tylko w nocy (tutaj w Szwecji), a nie w ciągu dnia.

Przykładowa wielkość ostatnich 500 żądań (tj. Pół minuty) pokazuje, że składa się ona z 200 różnych hostów, a mała próbka tych pokazuje, że wszystkie są prawidłowymi hostami (nie serwerami proxy TOR), więc niektóre serwery DNS są niepoprawnie skonfigurowane ? Na komputerze uruchamiam serwer DNS.

Proszę pomóż! :)

EDYCJA Host, do którego uzyskują dostęp, to „klaster.atlascms.se”, więc robią dostęp do http://cluster.atlascms.se/wpad.dat tysiące razy na minutę.

Teraz klaster.atlascms.se jest moim hostem przełączania awaryjnego DNS. Wszyscy moi klienci wskazują więc swoje poddomeny na klaster.atlascms.se, co z kolei wskazuje bieżący adres IP (serwer główny serwera przełączania awaryjnego).

Jak się wydaje - oznacza to, że otrzymuję mnóstwo zapytań do cluster.arlascms.se - czy może to oznaczać, że mój DNS jest źle skonfigurowany?

Wygląda na to, że twoja strefa DNS eklundh.comma zdefiniowany rekord wieloznaczny wskazujący na cluster.atlascms.se. To obejmuje wpad.eklundh.com. Sugeruję dodanie rekordu DNS wyraźnie definiującego wpad.eklundh.com. do 127.0.0.1czy coś.

Komputery będą szukały pliku WPAD.dat hierarchicznie na podstawie własnej nazwy FQDN, jeśli są skonfigurowane do automatycznego wykrywania serwera proxy. Jeśli więc komputer z systemem Windows jest członkiem domeny cdecom, poszuka WPAD.dat w:

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

Są szanse, że gdzieś ktoś ma domenę, która jest poddomeną jednej z tych, na których hostujesz HTTP, i nie skonfigurował poprawnie lub nie wyłączył automatycznego wykrywania proxy. W rezultacie prawdopodobnie szukają hierarchicznie.

Możliwe, że spowodował to wirus; prawdopodobnie, jeśli maszyny wykonujące zapytanie są bardzo liczne i znajdują się w różnych podsieciach, właśnie o to chodzi.

Jeśli to możliwe, unikaj definiowania rekordu DNS dla subdomeny wpad wszystkiego, czego nie zamierzasz używać do automatycznego wykrywania proxy.

Jeśli nie jest to opcja, możesz rozważyć zastosowanie filtrowania w warstwie 7, aby znaleźć zapytania dla wpad.dat i odrzucić pakiety z komunikatem ICMP. To może być najskuteczniejszy sposób na zatrzymanie ruchu, chyba że wszystkie adresy IP pochodzą z tej samej sieci, a ich kontakt techniczny w whois reaguje.

Do rzeczy, które będą wskazywać host w konkretnej lokalizacji dla wpad.dat, należą ustawienia domeny, opcja nazwy domeny w odpowiedziach DHCP oraz jawne ustawienie w przeglądarce internetowej, aby ładować informacje proxy z jakiegoś adresu URL.

Pierwszą rzeczą, którą chciałbym zrobić, to spróbować, aby dowiedzieć się, gdzie te wnioski idą do , czyli ich przeznaczenia. Apache domyślnie nie rejestruje nazwy hosta, więc możesz użyć jej tcpdumpdo przechwycenia krótkiego przechwytywania i sprawdzenia go pod kątem Host:nagłówka żądania lub zmienić format dziennika Apache, aby go zarejestrować. Wolę zalogować się w drugim bezużytecznym drugim polu, na przykład:

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

Gdy dowiesz się, do kogo kierowane są te błędne prośby, dalsze działania mogą stać się jasne. Na przykład może się okazać, że jest to duża firma, example.sew którym to przypadku możesz znaleźć ich administratorów sieci i krzyczeć na nich.

Tylko FYI, ModSecurityzłapie to i zablokuje. Comodo udostępnia zestaw reguł. Oto wpis w dzienniku. Usunąłem odpowiednie dane z konta, aby zawierały je tylko dla przykładu.

Błąd Apache: [plik ””] [] [] [klient xxx.xxx.xxx.xxx] ModSecurity: Odmowa dostępu z kodem 403 (faza 2). Dopasowane wyrażenie „.dat /” w TX: rozszerzenie. [plik ”„] [”] [id” 210730 ”] [rev” 2 ”] [msg” COMODO WAF: rozszerzenie pliku URL jest ograniczone przez zasady ”] [data” .dat ”] [dotkliwość„ KRYTYCZNA ”] [nazwa hosta „usunięto”] [uri ”/wpad.dat”] [unikalny_id ”WjFa06qDOW3DDPRieFmICgAAAEg”]

Miałem ten problem i naprawiłem go, tworząc plik wpad.dat, umieszczając w nim stronę „ta strona pozostawiła pustą”.

Procesor spadł prawie do zera. Problem wydaje się rozwiązany.